【実は危険⁉】ブラウザ搭載のパスワード管理機能を使わない方がいい理由

みなさん、こんにちは。

Google Chromeなどのブラウザには、パスワード管理機能が標準で搭載されていますね。

とっても便利なのですが、実はリスクもあるらしい…！？

実際にパスワードを抜き取られてしまった事例

事例をご紹介します。

＿人人人人人人人人人人人人人＿
＞　ぶっこぬけるんすねぇ！　＜
￣Y^Y^Y^Y^Y^Y^Y^Y^Y^Y^Y^Y￣

マルウェアだと気づかずにダウンロード&実行しまったのが原因とはいえ、なんとも恐ろしいです。

その後しっかり不正アクセスが試されている…！😭
流出した可能性のあるパスワードはそのままにせず、速やかに変更するのが重要ですね。

学長はなんて言ってる？

公的機関はなんて言ってる？

内閣サイバーセキュリティセンターも、ブラウザへのパスワード保存はしないほうがいいという立場のようです。

次に、ブラウザにパスワードを保存するとどんなリスクにさらされるのか考えてみましょう。

考えられるリスク

１　ブラウザの脆弱性

ブラウザはほとんどの人が使用するものなので、サイバー攻撃の標的となりやすく、脆弱性が発見されることが多々あります。
もちろん、脆弱性は発見され次第順次修正されていきますが、ユーザー（私たち）がアップデートを疎かにすると修正が適用されず、危険にさらされたままになります。
また、まだ発見されていない脆弱性を利用した攻撃が来る可能性は依然としてあり、それは防ぎようがありません。
もし攻撃者がブラウザを通じて情報にアクセスできると、保存されたパスワードも危険にさらされます。
万が一の際の被害を最小限にするためにも、ブラウザにパスワードなどの重要な情報を保存しておかない方がよいでしょう。

２　暗号化が不十分な可能性

GoogleパスワードマネージャーもMicrosoft Edgeも、保存したパスワード情報は暗号化されています。それでも…

また、暗号化を解くための鍵が、決まった場所や予測可能な場所に保管されていると、悪意のある第三者がパスワードを解読しやすくなります（たとえば、EdgeはOSのストレージ領域に保管されています）

一方、1Passwordでは保存されたデータはエンドツーエンドでの暗号化がなされます。
また、暗号化を解くために必要なシークレットキーはエマージェンシーキットに記載されていますが、その保存場所を決めるのはユーザー自身です。マスターパスワードを知っているのもユーザー自身だけで、1Passwordの運営会社にもわかりません。

３　アクセス制御の欠如

ブラウザは通常ログイン状態が継続されるため、共有デバイスや盗難されたデバイスでは、誰でも簡単に保存されたパスワードにアクセスできてしまいます。

一方、1Passwordは一定時間使用しないと自動でロックがかかります（ロックまでの時間は設定で変えられます）。また、自動ロックまでの時間が余っていても、手動でロックをかけることもできます。

最後に

以上、ブラウザ搭載のパスワード管理機能を使わない方がいい理由でした。

ブラウザでのパスワード管理からは卒業して、1Passwordのような専用のパスワード管理ツールを使用しましょう！
（セキュリティだけでなく、使い勝手も段違いで良いですよ★）

※本記事の内容にもし間違いがあれば遠慮なくご指摘ください。よろしくお願いします。